Melden Sie sich hier an, um auf Kommentare und die Whitepaper-Datenbank zugreifen zu können.

Kein Log-In? Dann jetzt kostenlos registrieren.

Falls Sie Ihr Passwort vergessen haben, können Sie es hier per E-Mail anfordern.

Der Zugang zur Reseller Only!-Community ist registrierten Fachhändlern, Systemhäusern und Dienstleistern vorbehalten.

Registrieren Sie sich hier, um Zugang zu diesem Bereich zu beantragen. Die Freigabe Ihres Zugangs erfolgt nach Prüfung Ihrer Anmeldung durch die Redaktion.

Fehlerhafte Datenverschlüsselung

Login-Daten in populären iOS-Apps können ausgespäht werden

03.11.2017
Ein Sicherheitsforscher aus Hamburg hat in vielen populären Apps für das Apple-Betriebssystem iOS eine Sicherheitslücke entdeckt. In den Programmen sei es unter bestimmten Voraussetzungen möglich, die Login-Daten der Nutzer für den jeweiligen App-Service abzufangen.
111 von 200 getesteten iOs-Apps wiesen eine fehlerhafte Datenverschlüsselung auf.
111 von 200 getesteten iOs-Apps wiesen eine fehlerhafte Datenverschlüsselung auf.
Foto: ymgerman - shutterstock.com

Nach Recherchen des Hamburger IT-Sicherheitsspezialisten Thomas Jansen wiesen von den 200 populärsten kostenlosen iOS-Apps 111 eine fehlerhafte Verschlüsselung der Daten auf. Die Übertragung sensibler Daten wie Benutzername und Passwort werde nicht oder nur unzureichend durch eine verschlüsselte Übertragung abgesichert. Jansen testete nur Apps für iPhone und iPad, nicht für andere Mobilsysteme. Experten gehen allerdings davon aus, dass auch viele Android-Apps eine entsprechende Lücke aufweisen.

Angriffe in öffentlichen Hotspots möglich

Die von Jansen beschriebene Attacke ist mit einem gewissen Aufwand verbunden. Der Angreifer muss die Kommunikation zwischen der App und dem Serviceanbieter zumindest beobachten können. Eine Attacke wäre auch möglich, wenn sich die Angreifer zu einem Teil des Netzwerks machen und den Datenverkehr umleiten. Das ist beispielsweise in öffentlichen Hotspots möglich.

Apple schreibt seinen App-Entwicklern seit Sommer 2016 vor, dass sie das sichere Protokoll HTTPS für die Übertragung der Nutzerdaten verwenden müssen. Bei der Umsetzung der Vorgabe habe der iPhone-Hersteller den Entwicklern im Dezember 2016 aber einen Aufschub für die Umsetzung gegeben, der immer noch gelte.

Apple schweigt zu Aufdeckungen

Linus Neumann, einer der Sprecher des Chaos Computer Clubs (CCC), hat die Analyse von Sicherheitsforscher Jansen an einer der 111 betroffenen Apps exemplarisch nachvollzogen und bestätigt. "Für die Übertragung von Zugangsdaten im Klartext - also unverschlüsselt - gibt es heutzutage keine Entschuldigung mehr", sagte Neumann "Zeit Online".

Apple wollte sich zu dem Bericht nicht äußern. (dpa/ib)